結論
GDPRは、個人データの取扱いに同意や契約の履行などの法的根拠を求め、データポータビリティ権などの手厚い本人の権利と、全世界年間売上高の4%に達しうる制裁金を定めたEUの規則です。日本の個人情報保護法は、取扱い全般には法的根拠を求めず、利用目的の特定と、目的外利用や第三者提供などの場面ごとの本人同意で規律し、違反には委員会の勧告・命令と刑事罰で対応します。
比較表
| 観点 | GDPR | 個人情報保護法 |
|---|---|---|
| 正式名称と形式 | EU一般データ保護規則（Regulation (EU) 2016/679）。規則なので、加盟国に直接適用される | 個人情報の保護に関する法律（平成15年法律第57号）。民間事業者と行政機関等の両方を対象とする日本の法律 |
| 適用の開始 | 2018年5月25日（99条） | 2005年4月に全面施行。改正により、2017年に個人識別符号、2022年に仮名加工情報などが加わった |
| 保護の対象 | 個人データ：識別された、または識別可能な自然人に関するあらゆる情報。オンライン識別子や位置データも識別子の例に挙がる（4条1号） | 個人情報：生存する個人に関する情報で、特定の個人を識別できるもの、または個人識別符号を含むもの（2条1項）。それに当たらない閲覧履歴などは個人関連情報（2条7項） |
| 取扱いの根拠 | 同意、契約の履行、法的義務、生命に関する利益、公共の利益、正当な利益のいずれかが必要（6条1項） | 取扱い全般の根拠は求めない。利用目的を特定し、目的外利用、要配慮個人情報の取得、第三者提供などの場面で原則として本人の同意を求める（17条、18条、20条2項、27条） |
| 拠点のない外国の事業者への適用 | EU域内の個人への商品・サービスの提供や行動のモニタリングをすれば適用され、原則としてEU域内に代理人を置く（3条2項、27条） | 国内にある者への物品・役務の提供に関連して、国内にある者の個人情報などを外国で取り扱う場合にも適用（171条） |
| 域外への移転 | 十分性認定（45条）か、標準データ保護条項などの適切な保護措置（46条）などが必要 | 外国にある第三者への提供には、原則として本人の同意が必要。提供先がEU・英国にある場合や、基準に適合する体制を整備している場合などは除く（28条） |
| 本人の権利 | アクセス、訂正、消去（忘れられる権利）、データポータビリティ、異議、自動化された処理のみによる重要な決定の対象とされない権利（15〜22条） | 保有個人データの開示、訂正等、利用停止等の請求（33〜35条）。データポータビリティや自動化された決定に関する権利の規定はない |
| 漏えい時の対応 | 監督機関に、気づいてから遅滞なく、可能なら72時間以内に通知する（33条）。高いリスクがあれば本人にも連絡する（34条） | 要配慮個人情報、財産的被害のおそれ、不正の目的、本人1,000人超などの事態で、委員会に速報と確報（原則30日以内）を出し、本人に通知する（26条、規則7条・8条） |
| 影響評価 | 高いリスクをもたらすおそれがある取扱いの前に、データ保護影響評価（DPIA）を行う（35条） | PIA（プライバシー影響評価）の法律上の義務はなく、自主的な取組として促されている |
| 違反への制裁 | 監督機関の制裁金。重大な違反は、2,000万ユーロか全世界年間売上高の4%の高いほうが上限（83条5項） | 委員会の勧告・命令（148条）。命令違反やデータベースの不正提供には刑事罰があり、法人は1億円以下の罰金（178条、179条、184条）。2026年7月公布の改正で課徴金を導入（未施行） |
| 監督する機関 | 加盟国ごとの監督機関と、欧州データ保護会議（EDPB） | 個人情報保護委員会 |
| G検定での問われ方 | 日本企業にも適用されうるか（域外適用）、制裁金の上限、データポータビリティ権などの本人の権利 | GDPRとの違いとして、法的根拠を求めない点、本人の権利の範囲、日本とEUの間の越境移転の枠組み |
| シラバス項目 | 法律・倫理分野 項目1 個人情報保護法 | 法律・倫理分野 項目1 個人情報保護法 |
最終確認日：2026年11月1日
それぞれの説明
GDPR
GDPRは、EU全体に直接適用される規則で、2018年5月25日から適用されています。個人データの取扱いは、本人の同意、契約の履行、法的義務、正当な利益など、6条1項のいずれかの根拠がある場合に限って適法になります。本人には、アクセス、消去、データポータビリティ、異議などの権利が認められています。違反には、監督機関が高額の制裁金を科すことができます。
EU域内に拠点のない事業者でも、EU域内の個人に商品やサービスを提供したり、その行動をモニタリングしたりすれば適用されます（3条2項）。この場合、原則としてEU域内に代理人を置く必要があります（27条）。
個人情報保護法
日本の個人情報保護法は、取扱いごとに法的根拠を求める仕組みをとっていません。事業者は利用目的をできる限り特定し、その範囲内で取り扱います。目的外の利用、要配慮個人情報の取得、第三者提供など、本人への影響が大きい場面に限って、原則として本人の同意を求めます。
監督は個人情報保護委員会が行い、違反には勧告や命令で是正を求めます。命令に違反した場合などは刑事罰の対象です。日本にいる人に向けて事業を行う外国の事業者にも適用されます（171条）。
日本とEUの関係
日本とEUは2019年1月23日に、互いの制度を同等と認め合う枠組みを発効させました。EU側は欧州委員会の十分性認定、日本側は当時の24条（現在の28条）にもとづく委員会の指定です。これにより、両者の間では個人データを比較的円滑に移転できます。英国についても、EU離脱後に委員会が指定を継続しています。
2026年の改正（未施行）
2026年7月17日に公布された改正法は、重大な違反行為で得た財産的利益などに相当する額の課徴金の制度を設けました。GDPRの制裁金は売上高などを基準に上限を定めますが、改正法の課徴金は違反行為で得た利益に相当する額を納めさせる点が異なります。施行は原則として公布から2年以内で、2026年11月1日時点では施行されていません。
見分けるコツ
- GDPRは「取扱いの入口で根拠を確かめる」、日本法は「利用目的を決め、影響の大きい場面で同意を取る」と整理すると、法的根拠の違いを見分けやすくなります。
- 本人の権利のうち、データポータビリティ権と自動化された意思決定に関する権利はGDPRにだけあります。日本法の請求権は、保有個人データの開示、訂正等、利用停止等です。
- 域外適用は両方にあります。EU向けに事業をする日本企業にはGDPRが、日本向けに事業をする外国企業には日本法が適用されうると押さえます。
◯×チェック
次の文が正しいか、誤りかを選んでください。
-
日本の個人情報保護法は、日本国内に拠点のない外国の事業者には、日本にいる利用者向けにサービスを提供していても適用されない。
答えを見る
答え × 誤り
171条により、国内にある者への物品や役務の提供に関連して、国内にある者の個人情報などを外国で取り扱う場合にも適用されます。GDPRと同じく、拠点の所在地だけでは決まりません。
-
日本の個人情報保護法にも、GDPRのデータポータビリティ権のように、保有個人データを他の事業者へ直接移すよう求める権利が定められている。
答えを見る
答え × 誤り
日本法では、保有個人データの開示を電磁的記録の提供による方法で求めることはできます（33条1項）。しかし、他の事業者へ直接移すよう求める権利の規定はありません。GDPRは20条でこの権利を定めています。
-
日本の個人情報保護法も、GDPRと同じく、個人情報を取り扱うには本人の同意や契約の履行などの法的根拠のいずれかが必要だと定めている。
答えを見る
答え × 誤り
日本法は、取扱い全般に法的根拠を求めていません。利用目的を特定してその範囲で取り扱い、目的外利用、要配慮個人情報の取得、第三者提供などの場面で、原則として本人の同意を求めます（18条、20条2項、27条）。
関連問題
出典
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex （Art. 3, 4, 6, 15–22, 27, 33–35, 45, 46, 83, 99）
- 個人情報保護委員会「一般データ保護規則（GDPR）」条文の仮日本語訳
- 個人情報の保護に関する法律（e-Gov法令検索） （2条1項・7項、17条、18条、20条2項、26条、27条、28条、33条〜35条、148条、171条、178条、179条、184条）
- 個人情報の保護に関する法律施行規則（e-Gov法令検索） （7条、8条、15条）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（令和7年12月一部改正） （3（我が国と同等の水準にある外国））
- 個人情報保護委員会「日EU間・日英間のデータ越境移転について」 （2019年1月23日の発効、英国への指定の継続）
- 個人情報保護委員会「令和8年 改正個人情報保護法について」 （成立・公布の日付）
- 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（2026年7月） （改正の概要、第4の3「悪質事案に対応するための刑事罰」、第4の4「課徴金の導入」）
ほかの違い比較
- アジャイルとウォーターフォールの違い 進め方とAI開発での使い分け
- 赤池情報量規準（AIC）とベイズ情報量規準（BIC）の違い 罰則の重さ
- バギングとブースティングの違い 並列か逐次か、減らす誤差の違い
- バッチ正規化とレイヤー正規化の違い 平均と分散を計算する範囲の違い
- バッチ学習・ミニバッチ学習とオンライン学習の違い 更新回数とぶれ
- BERTとGPTの違い エンコーダとデコーダ、学習課題の違い
- CBOWとスキップグラムの違い 予測の向きと学習の速さ
- 分類問題と回帰問題の違い 出力の形で見分けるコツと評価指標
- CNN・RNNとTransformerの違い 得意なデータと計算の並列性
- 協調フィルタリングとコンテンツベースフィルタリングの違い 仕組み
- 共分散と相関係数の違い 式の関係と単位・値の範囲
- データ汚染とAdversarial Attackの違い 学習時か推論時かと対策
- 決定木とランダムフォレストの違い 解釈のしやすさと精度・安定性
- 深さ優先探索と幅優先探索の違い 調べる順番・最短解・メモリ
- 営業秘密と限定提供データの違い 3つの要件と刑事罰の有無
- Faster R-CNNとYOLOの違い 2段階型と1段階型、速度と精度
- GANと拡散モデル（Diffusion Model）の違い 学習と生成の仕組み
- GANとVAEの違い 識別器の有無と学習の仕組み
- 勾配降下法と誤差逆伝播法の違い 勾配を使う側と求める側
- グリッドサーチとランダムサーチの違い 試行回数の決まり方と効率
- ホールドアウト検証と交差検証の違い 分割回数・計算量・使い分け
- 画像分類（物体識別）と物体検出の違い 出力の形と使い分け
- 委託・第三者提供と共同利用の違い 同意の要否と受け手が使える範囲
- k-means法と階層的クラスタリングの違い クラスタ数を決める時期と計算量
- 個人情報・個人データと保有個人データの違い 範囲の入れ子とかかる義務
- 個人情報と個人識別符号の違い 包含関係と当たる例・当たらない例
- L1正則化とL2正則化の違い 罰則の形と重みが0になるか
- 最小二乗法と最尤法の違い 推定の基準と結果が一致する条件
- LIMEとSHAPの違い 局所近似とシャープレイ値の使い分け
- LSTMとGRUの違い ゲートの数と記憶セルの有無
- 機械学習とディープラーニングの違い 包含関係と特徴量の決め方
- 平均絶対値誤差（MAE）と平均二乗誤差（MSE）の違い 外れ値への強さ
- 正規化と正則化の違い 目的と代表的な手法を表で整理
- 主成分分析（PCA）と特異値分解（SVD）の違い 目的と計算の関係
- 主成分分析（PCA）とt-SNEの違い 線形か非線形か、保つ構造の違い
- 適合率と再現率の違い 分母の違いと重視する場面
- プルーニング・量子化と蒸留の違い 何を減らすかと元モデルの扱い
- Q学習とSARSAの違い 更新式の1か所と方策オン・オフ
- RNNとLSTMの違い 記憶セルと勾配消失の起きにくさ
- Self-AttentionとSource-Target Attentionの違い Q・K・Vの出どころ
- セマンティック・インスタンスとパノプティックの違い 背景と個体の扱い
- 新規性と進歩性の違い 比べ方とAI発明での論点
- シグモイド関数とソフトマックス関数の違い 出力の合計と使い分け
- ソフトローとハードローの違い 法的拘束力の有無と日本・EUの例
- 強いAIと弱いAIの違い 心をもつと考えるかの違い
- 教師あり学習・教師なし学習と強化学習の違い 学習の手がかりと代表例
- 特許権と著作権の違い 発生・保護対象・期間とAIでの使い分け
- 匿名加工情報と仮名加工情報の違い 加工の程度と第三者提供の可否
- 転移学習とファインチューニングの違い 重みを固定するか更新するか
- 請負契約と準委任契約の違い 完成義務とAI開発での使い分け
- Zero-shotとFew-shotの違い 与える例の数と重みを更新しない点